WordPress插件审核被拒：如何正确对数据进行Sanitize、转义与验证？

针对审核团队指出的数据未进行Sanitize、验证和转义问题，以下是每个代码路径的具体修复方法：

1. woolive/templates/livecall.php:18 #

原代码：

$prodid = $_GET['id'];

修复后：

// 验证参数存在并转换为正整数（产品ID应为整数类型）
$prodid = isset($_GET['id']) ? absint($_GET['id']) : 0;

// 可选：若ID无效，跳转至合理页面或提示错误
if ( $prodid === 0 ) {
    wp_safe_redirect( get_permalink( wc_get_page_id( 'shop' ) ) );
    exit;
}

说明：absint()会将输入转为非负整数，既过滤非法字符，也确保数据符合产品ID的类型要求。

2. woolive/admin/register.php:201 #

原代码：

$prodid = (isset($_GET['id']) && !empty($_GET['id'])) ? $_GET['id'] : "";

修复后：

// 统一转为正整数，空值/无效值设为0
$prodid = isset($_GET['id']) ? absint($_GET['id']) : 0;

// 可选：验证ID是否对应真实存在的产品
if ( $prodid > 0 && !get_post( $prodid ) ) {
    wp_die( '无效的产品ID' );
}

说明：产品ID不应为空字符串，用0作为无效值更合理；额外验证产品存在性能进一步提升安全性。

3. woolive/admin/settings.php:20 & 28（按钮位置选项） #

原代码：

update_option('button_loc_shop_page', $_POST['button_loc_shop_page']);
update_option('button_loc_product_details_page', $_POST['button_loc_product_details_page']);

修复后：

// 处理店铺页面按钮位置
$button_loc_shop = isset($_POST['button_loc_shop_page']) ? sanitize_text_field($_POST['button_loc_shop_page']) : 'default';
update_option('button_loc_shop_page', $button_loc_shop);

// 处理产品详情页按钮位置
$button_loc_product = isset($_POST['button_loc_product_details_page']) ? sanitize_text_field($_POST['button_loc_product_details_page']) : 'default';
update_option('button_loc_product_details_page', $button_loc_product);

说明：sanitize_text_field()会过滤HTML标签、特殊字符，确保输入为纯文本，符合按钮位置这类枚举/文本选项的需求；设置默认值避免空值存入数据库。

4. woolive/admin/settings.php:30 & 31（页面Slug选项） #

原代码：

update_option( 'loginpage_slug', $_POST['loginpage_slug'] );
update_option( 'howtojoinpage_slug', $_POST['howtojoinpage_slug'] );

修复后：

// 处理登录页面Slug
$login_slug = isset($_POST['loginpage_slug']) ? sanitize_title($_POST['loginpage_slug']) : 'livecall-login';
update_option('loginpage_slug', $login_slug);

// 处理加入指引页面Slug
$join_slug = isset($_POST['howtojoinpage_slug']) ? sanitize_title($_POST['howtojoinpage_slug']) : 'how-to-join-livecall';
update_option('howtojoinpage_slug', $join_slug);

说明：sanitize_title()会自动将输入转换为符合WordPress页面Slug规范的格式（小写字母、数字、连字符），同时过滤非法字符，确保Slug有效且安全。

额外注意事项 #

• 如果这些数据后续需要输出到前端页面（比如在模板中显示产品ID、按钮位置），还需添加转义处理：
  • 输出到HTML内容用 esc_html()
  • 输出到HTML属性用 esc_attr()
  • 输出到URL用 esc_url()
• 所有用户输入（GET/POST/REQUEST）都必须经过处理，不要直接使用原始值，这是WordPress插件审核的核心安全要求。

内容的提问来源于stack exchange，提问作者Rajin Sharwar